🇰🇷 한글 설명
AppFlowy-Cloud 0.9.64 버전에서 권한 확인 시 요청된 협업 객체가 해당 워크스페이스에 속해 있는지 검증하지 않는 취약점이 발견되었습니다. 공격자는 피해자의 객체 ID를 자신의 워크스페이스 ID와 함께 전달하여 접근 제어를 우회하고 다른 워크스페이스의 문서와 데이터베이스 행을 읽거나 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
다른 사람의 작업 공간에 있는 문서나 데이터를 허락 없이 몰래 보거나 지울 수 있는 보안 결함입니다. 공격자가 자신의 열쇠로 다른 사람의 금고를 여는 것과 같은 상황이 발생할 수 있습니다.
🇺🇸 원문 (English)
AppFlowy-Cloud 0.9.64 fails to verify that requested collab objects belong to the workspace in authorization checks, allowing attackers to access documents and database rows across workspaces. Attackers can supply a victim's object ID with their own workspace ID to bypass access controls and read, modify, or delete cross-workspace data.
📍 영향받는 시스템
AppFlowy-Cloud 0.9.64 이하 버전
⚔️ 공격 벡터
자신의 워크스페이스 ID와 피해자의 객체 ID를 조합하여 권한 검증을 우회하는 방식
🛡️ 대응 방법
AppFlowy-Cloud를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 0.9.64 버전이 포함되어 있다면 해당 취약점에 노출된 상태입니다.
curl -s http://<appflowy-cloud-endpoint>/version | grep -E '0.9.64'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access